Компания DeviceLock обнаружила в открытом доступе базу данных туристического сервиса "Слетать.ру", который помогает пользователям в "поиске туров по всем туроператорам". Только в апреле, по данным SimilarWeb, его посетили 3,25 млн человек. Всего в базе данных несколько сотен подключенных агентств, так что общедоступной стала информация как о них, так и об их клиентах.
По словам основателя и технического директора DeviceLock Ашота Оганесяна, как только компания проинформировала сервис о взломе, база данных была закрыта. Руководитель отмечает, что в ней содержались пароли агентств. Воспользовавшись ими, злоумышленники могли бы получить доступ к полной информации о поездках клиентов, включая паспортные данные и данные билетов, а также 11,7 тыс. адресов электронной почты покупателей туров. База охватывает период с марта 2018 года по май 2019.
Эксперты единодушны во мнении, что, не смотря на отсутствие платежных данных в базе, она могла представлять немалый интерес для мошенников. Аналитик InfoWatch Андрей Арсентьев считает, что воспользоваться информацией могли как недобросовестные конкуренты, так и злоумышленники, осуществляющие фишинговые атаки под видом доверенного турагента. Подобное произошло при взломе клиентской базы интернет-магазина автозапчастей Exist.
С этим соглашается аналитик Positive Technologies Екатерина Килюшева. Получив сведения о предстоящих поездках, злоумышленники могут предложить оплатить дополнительные сервисы или внезапно выросшую цену тура. А руководитель отдела страхования финансовых рисков компании АИГ Владимир Кремер, указывает, что адреса электронной почты могут быть использованы для расылки рекламных предложений.
По данным DeviceLock, основанным на изучении 1,9 тыс. серверов, использующих облачные базы данных MongoDB, Elasticsearch и Yandex ClickHouse, 52% из них предоставляют возможность неавторизованного доступа, а 10% – содержат коммерческую информацию компаний и персональные данные россиян.
Партнер адвокатского бюро "Деловой фарватер" Сергей Литвиненко указывает, отсутствие на невозможность привлечь к ответственности виновных. "Законодательство не раскрывают самого понятия утечки персональных данных. Ответственность может наступать не за саму утечку, а за нарушение требований безопасности, административный штраф по которой настолько несерьезен, что легче заплатить его, чем привести системы безопасности в порядок",— констатирует он.
 |
Анатолий К.
Директор (руководитель), Торговля (Онлайн-гипермаркет, мини-компания) |
Инфо от них на данный момент:
---------- Forwarded message ---------
От:
Date: ср, 5 июн. 2019 г. в 17:32
Subject: Re[6]: Руководству
To: Magazin3000.ru интернет-магазин
всем нашим пострадавшим рассылаем сейчас вот это
и по почте и по вацапу.
пока ведется следствие пытаемся действовать самостоятельно не нарушая закон
___________________________________________
Наказываем мошенников самостоятельно
Инструкция: Каждый гражданин по закону РФ "ПОТРЕБИТЕЛЯ" вправе отказаться от покупки любого товара без объяснения причин. В связи с этим заказываем товар на этих сайтах и не приходим на почту забирать. Товар лежит на почте 1 месяц, после этого заказ отправляется обратно по месту отправления. Мошенники за ним обратно не придут, побоятся что их там будет ждать Полиция. В итоге мошенники несут убытки на услуги почты и на сам отправленный товар который завис на почте.
Мы нашли сайты одних и тех же мошенников.
https://yarmarka-podarkov24.ru/
https://darimka.ru/
https://discount-day.ru/wahl-adap/
http://krossovki-disruptor.ru/
http://trekz-air.ru/
http://pandora-dxl.fun/
http://tonosil-zdrav.medhelp-blog.com/
http://mikocin-zdrav.fitobenefits.com/
http://complex20flex-zdrav.zdravherb.com/
http://psorifort-zdrav.zdravcaring.com/ Свернуть
